En net vertraute VPN sinn dräi getrennt Grenzen, net eng

„Ech vertrauen dësem VPN net“ sinn meeschtens dräi Aussoen an engem Saz. D’entfernt Peeren an deem Netz kënnen Dienste op Ärem Host erreechen, den Operateur, deen den Tunnel bedreift, kéint de Verkéier observéieren, deen duerch en geet, an d’Clientssoftware, déi Dir installéiert hutt, kéint d’Netzpolitik vun Ärer Maschinn änneren. D’Iwwerzeegung, déi et wäert ass ze korrigéieren, ass datt eng Firewall-Reeg, eng virtuell Maschinn oder eng suergfälteg Wiel vum Betribssystem all dräi beäntwert. All Mesure beäntwert genee eng dovu.

De Mythos: eng Kontroll deckt de ganze Risiko of

D’üblech Unhuel ass, datt et sech beim Bäitrëtt zu engem net vertrauten Netz ëm eng eenzeg Entscheedung mat enger eenzeger Ofmilderung handelt. D’Leit wielen d’Kontroll, déi se schonn trauen, uwenden se a betruechten de Risiko als erledegt: d’Firewall ass un, de Aarbechtsberäich ass ewechgeheien, de Client kënnt vun engem renomméierten Ubidden.

Dës Kontrollen iwwerlappen sech net sou, wéi d’Unhuel et implizéiert. Eng Host-Firewall beschränkt, wat en entfernte Peer erreeche kann, an et mécht näischt géint en Operateur, deen Ären TLS beendet. Eng virtuell Maschinn trennt en Aarbechtsberäich vun Ären Host-Dateien, an et mécht näischt géint eng Client-Komponent, déi den Netzpilier ënner béiden nei konfiguréiere kann. D’Grenz ze benennen, déi all Kontroll tatsächlech schaaf, ass déi ganz Übung.

Si ze trennen seet Iech och, wéi ee Risiko Dir gewielt hutt ze akzeptéieren. Déi meescht reell Entscheedungen dämpfen eng Grenz an toleréieren eng aner, wat gutt ass, soulaang de Ännerungsrekord seet, wéi eng wéi eng ass.

Wat den entfernte Peer tatsächlech erreeche kann

Fänkt mat lauschterenden Diensten un. D’Tunnelschnittstell, déi als breed vertraut behandelt gëtt, well hir Paketen verschlësselt ukommen, ass den übleche Fehler, an et mécht all lokal Lauschterer zu engem méiglechen Zil fir all aneren an deem Netz. Verschlësselung schützt d’Dräit tëschent zwee Endpunkten; si seet näischt iwwer d’Absicht vum Peer op der anerer Säit.

ss -tulpn
sudo nft list ruleset
ip -br addr

Bindt Diensten un d’Adress, déi se brauchen, amplaz un all Schnittstell, a erlaabt nëmmen d’Operatiounen, déi déi genehmegt Aufgab erfuerdert. Hält d’Weiderleeden, d’Brécken an d’Applikatiounsproxy explizit, well zwou Netzwierkuwendungen vu sech aus keen Transitwee schaafen, awer eng Proxy-Reeg bestëmmt kann.

En genehmegten ewechgeheienen Aarbechtsberäich reduzéiert, wat dat entfernt Netz erreeche kann, awer nëmmen wann seng Deelkonfiguratioun mat der Ausso iwwereneestëmmt. Gedeeelte Classeuren, Clipboard-Integratioun, Umeldungsagenten a Verwaltungskanäl iwwerschreiden all d’Grenz, déi den Aarbechtsberäich hätt solle schaafen. Eng Etikett vum Aarbechtsberäich beweist näischt doriwwer, wéi eng dovu op sinn.

NIST seng Zero-Trust-Architektur formuléiert de Prinzip hannert all dësem: nëmmen de Netzwierkstandort gëtt keng implizitt Vertraue. D’Ressourcenauthentifizéierung huet nach eng Aufgab nodeems den Tunnel zougelooss gouf, an d’Fro, wien soss dat Netz deelt, och.

Wat den Operateur am Wee gesinn kann

E VPN verréckelt Äre Verkéier op eng aner Plaz am Wee; et bäisetzt keng Applikatiounsverschlësselung. Wann den Ubieder Ären TLS beendet, kann den Ubieder liesen, wat Äre Browser soss geschützt hätt, an eng lokal Firewall-Reeg ännert dat net.

Behält d’normal Zertifikatsvalidéierung fir dat richtegt Zil a versti de Resolver- an de Metadatenwee, well eng DNS-Ufro méi verrode kann wéi d’Notzlaascht, déi virun hir geet. Nëmmen d’Metadaten, also wéi eng Adressen Dir wéini kontaktéiert hutt, beäntweren dacks d’Fro vum Operateur ouni iergendeng Noutwendegkeet, Inhalt ze liesen. Dofir sinn „de Verkéier ass verschlësselt“ an „de Verkéier ass privat“ ënnerschiddlech Aussoen.

Wann déi Siichtbarkeet fir d’Aufgab onakzeptabel ass, ass d’Äntwert eng aner genehmegt Architektur amplaz méi lokal Filterung. Lokal Filterung kann en Observateur net vun engem Wee fort huelen, op deem en nach sëtzt.

Wat de lokale Client ännere kann

Dëst ass d’Grenz, déi d’Leit iwwersinn, an et ass déi, déi déi aner zwee géigestandslos mécht. Ënner Linux deckt CAP_NET_ADMIN d’Schnittstellkonfiguratioun, d’Firewall-Verwaltung an d’Routeännerungen a sengem Netzkontext. Software mat där Fähegkeet kann d’Politik iwwerschreiwen, déi Dir just geschriwwen hutt.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

En Netznamensraum ass eng richteg Grenz fir den Netzzoustand an eng schlecht fir alles anescht: en isoléiert net de Dateiesystem oder de Umeldungsspäicher. Behandelt en als eng Schicht an net als Container fir de ganze Problem.

Kritt de Client a seng Konfiguratioun aus enger ënnerhalener Quell, iwwerpréift d’Autoritéit, déi en ufrot, a hält privilegéiert Komponenten ënner Administrateurskontroll. Eng virtuell Maschinn kann Deel vun enger qualifizéierter Bewäertungsgrenz sinn, ouni eng Erlaabnis ze ginn, en onerklärten Installateur niewent wäertvollen Umeldungsinformatiounen ze lafen. Den Installateur leeft mat wéi enger Autoritéit Dir him gitt, an déi Autoritéit ass d’Grenz.

Schreift op, wéi eng Grenz Dir akzeptéiert hutt

Schléisst mat engem Saz of, deen véier Saachen nennt: den vertraute lokale Code, de erlaabten Fernzougang, déi geschützt Applikatiounsdaten an d’Operateurbezéiung, déi bleift. Dee Saz ass méi wäert wéi eng allgemeng Ausso, datt eng VM, e Betribssystem oder en Antivirusprodukt en feindlecht Netz sécher gemaach hätt.

Bestätegt duerno, datt déi eng Operatioun funktionéiert an datt déi gefuerdert Oflehnung nach hält, och nodeems den Tunnel fällt. Eng Grenz, déi nëmmen existéiert, soulaang den Tunnel uewen ass, ass net d’Grenz, déi Dir dokumentéiert hutt.

Keen Test beweist, datt all Schwachstelle feelt, an eng Iwwerpréiwung, déi dat Géigendeel behaapt, iwwerdreift. Den éierlechen Output nennt de Reschtrisiko an deejéinegen, deen en akzeptéiert huet.